Søg
Avatar billede netsjov Nybegynder
27. februar 2001 - 14:47 Der er 12 kommentarer og
2 løsninger

Autologin vs. sikkerhed

Hej eksperter

Jeg har lige overtaget erhvervet som webmaster på en side. Siden er udstyret med et autologin system, som gør at alle der lander på forsiden og har sagt ja til at blive logget automastik ind, bliver logget ind helt und at skulle srive noget.

Dette er jo meget smart,,, men hidtil har systemet været baseret på en cookie der blev lagt ned på brugerens computer. I cookien var brugerns id nummer fra databasen. Men da jeg prøvede systemet igennem fandt jeg ud af at jeg kunne logge ind som alle andre i systemet bare ved at ændre denne id.

Er der nogen der har en ide, eller ved om jeg kan kryptere iden eller ligende.
Avatar billede erikjacobsen Ekspert
27. februar 2001 - 14:50 #1
Hvad med en URL til stedet ;))

Jamen, du bliver nødt til også at gemme et password - evt. tilfældigt
genereret. Tager du blot en \"kryptering\" af userid (f.eks med MD5 - som jo
er en hash-funktion), kan man også snyde ved at gætte andres nummer,
og selv lave den MD5 og putte i cookien.
Avatar billede netsrac Praktikant
27. februar 2001 - 14:51 #2
Måske dette kan klare det:
Skal indsættes på den side hvor man opretter cookien.
Response.Cookies(\"myCookie\").Secure
Avatar billede nute Nybegynder
27. februar 2001 - 14:53 #3
autologin er ikke så god ide.

For det første: hvis ikke brukeren sitter ved sin \"vanlige\" maskin, så må han/hun logge inn uansett.
For det andre: man er avhengig av at brukeren aksepterer cookies. Dette bør man egentlig ikke ta for gitt.
For det tredje: som du nevnte, så er det enkelt å finne ut av hvordan man logger seg inn. Dette kan gjøres enten gjennom \'view source\' (i mange tilfeller hvor passord blir \"husket\" av systemet), eller at man sjekker cookien.

Det beste vil nok være Basic Authentication. Selvfølgelig er det jo også snakk om hvilke type site det er...om det er et intranet, eller en public site.

/nute
Avatar billede ortrak Nybegynder
27. februar 2001 - 14:53 #4
jeg ville holde mig helt fra at gemme userid som cookie. Jeg ville i stedet gemme username, password og evt. en autologin(true|false)


/ortrak
Avatar billede bjarke-b Nybegynder
27. februar 2001 - 14:57 #5
Du kunne evt lave noget med at lægge 92193129390123099012390123 til brugens id når du lagde det i cookien også minus det samme antal som du lagde oveni.
Avatar billede ortrak Nybegynder
27. februar 2001 - 14:59 #6
nute:
1. -> korrekt, men det underminerer stadig ikke autologin\'en på brugerens \"vanlige\" maskine, hvilket er bedre end ingenting. Det er stadig en \"win/win\" situation.

2. -> korrekt, men det gør jo ingen skade. Hvad med størstedelen som har cookies enabled. Det er stadig en \"win/win\" situation.

3. ukorrekt, dette kan undgås hvis man holder sig fra at basere valideringen udelukkende på et userID.


/ortrak
Avatar billede ortrak Nybegynder
27. februar 2001 - 15:00 #7
bjarke-b:

pluuuueeezeee...
Avatar billede netsjov Nybegynder
27. februar 2001 - 15:07 #8
I har mange gode ider!! tak, kom endelig med flere. Men jeg tror faktisk at jeg kombinere nogle af jere ider.

Hvad er Response.Cookies(\"myCookie\").Secure  præcist ???
Avatar billede netsrac Praktikant
27. februar 2001 - 15:12 #9
ASP dokumentationen siger -> Write-only. Specifies whether the cookie is secure.
Avatar billede ortrak Nybegynder
27. februar 2001 - 15:15 #10
\"The cookie specification in RFC 2109 states that a cookie may be marked as Secure. IIS does not differentiate between secure and non-secure cookies.\"


/ortrak
Avatar billede netsjov Nybegynder
27. februar 2001 - 15:17 #11
og hvad betyder det. (Ikke fordi jeg ikke kan engelsk, men ...)
Avatar billede netsjov Nybegynder
28. februar 2001 - 21:51 #12
netsrac> Du er nød til at lave et svar ellers kan jeg ikke give dig point.
Avatar billede netsrac Praktikant
28. februar 2001 - 22:10 #13
Svar :-)

Jeg ved ikke om det har nogen forskel med secure cookie, men det er da et forsøg værd.
Avatar billede netsjov Nybegynder
28. februar 2001 - 22:55 #14
Jeg kombinerede jeres ideer, og jeg vil nu mene at det er nesten umuligt at brude ind
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Programmeringssprog kurser
Kurser inden for grundlæggende programmering
Se alle Programmeringssprog kurser

Flere spørgsmål fra ASP kategorien

Titel Indlæg Oprettet Seneste aktivitet
ASP classic kopiere database fil på server Af bsn i ASP 7 31/10/202610:20 01/11/202620:28
Persits.Upload Af bsn i ASP 9 17/09/202611:37 21/09/202615:15
Jeg bakser med noget Database og If Then med ASP - hvad gør jeg galt? Af Peer i ASP 10 25/06/202622:20 04/09/202602:30
Tjek alle checkbox i form Af bsn i ASP 4 18/05/202601:57 19/05/202613:33
Lost focus Af bsn i ASP 1 07/11/202415:34 01/01/202514:58
Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Opret Log ind

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten
Seneste spørgsmål Seneste aktivitet
I dag 08:39 Produktnøgle Af hkv i Office & Kontorpakker
I går 16:59 Bitlocker Af nico i Windows
12/1116:30 Wlan i windows 11 home Af dcedata1977 i Windows
11/1121:19 Irriterende ikon på proceslinjen Af ErikHg i Windows
11/1116:33 Kan man slippe af med "msn" ? Af Ikke-ekspert i Windows
White papers
Flere white papers »